モスバーガーを展開するモスフードサービスは2026年11月4日、メール配信に使っているシステム「repica（レピカ）」が第三者による不正アクセスを受け、「モスWEB会員」のメールアドレスなど7,517,087件が外部に流出したと発表した。repicaの提供元はアララで、同社の配信サービスへの不正アクセスでは、利用企業による被害の公表が相次いでいる。流出した情報に、クレジットカード情報などの決済に関わる情報は含まれていないという。
モスフードサービスの発表内容
モスフードサービスによると、同社は本部や各店舗からのメールマガジン配信に、アララが提供するrepicaを使っている。11月4日、アララから、アララがすでに公表している個人情報の流出に「モスWEB会員」のメールアドレスが含まれていると報告を受けた。
流出した情報は、モスWEB会員のメールアドレス、年齢、性別、住んでいる都道府県などで、件数は7,517,087件。アララでは不正アクセスの原因究明や被害の拡大防止が進められており、モスフードサービスはアララや関係各社と連携して、対象となる顧客と影響範囲の特定を急ぐとしている。あわせて、委託先のセキュリティ管理体制の確認と強化を求めていくという。
同社は、モスフードサービスや関連企業を装った不審なメールが届くおそれがあるとして、心当たりのないメールのリンクや添付ファイルを開かないよう呼びかけている。同社からメールなどでクレジットカード情報やパスワードの入力を求めることはないとしている。
アララ側で明らかになっていること
アララが11月2日に公表した第2報によると、同社のメール配信サービスでは、10月27日から28日にかけて、複数の契約企業が共用する環境への不正アクセスがあり、さらに10月28日から31日にかけて、第三者が同社のサーバーを経由して契約企業の環境にあるサーバー97台に侵入し、データベースの内容を持ち出した。持ち出されたメールアドレスは、精査中ながら約7,700万件にのぼる。アララは10月31日にサービスの提供をすべて停止し、再開時期は未定としている。
同じ第2報では、原因を「Webサーバーの脆弱性およびシステム環境における問題」とし、侵入の開始時期や経路は調査中としている。脆弱性とは、不正アクセスなどに悪用されるおそれのあるソフトウェアやシステムの弱点のことである。
メール配信の委託先は「攻撃の入り口」になりうる
メール配信サービスは、多くの企業の顧客情報をまとめて扱う。1社の環境に入られると、その先にある多数の利用企業の情報が一度に危険にさらされる。今回のように、利用企業が自社のシステムを直接攻撃されていなくても、委託先経由で大量の顧客情報が外に出ることがある。
流出したのがメールアドレスや年齢・性別であっても、二次被害につながるおそれもある。実際の会員情報を使って正規の案内を装ったフィッシングメール（パスワードやカード番号などをだまし取る偽のメール）は見分けにくく、受け取った人が情報を入力してしまう危険がある。
委託先を選ぶときにセキュリティ対策を確かめるのはもちろん、預ける情報を配信に必要な項目だけに絞ること、委託先で事故が起きたときの連絡と判断の手順を決めておくことが、自社の顧客を守るうえで欠かせない。
同じ手口に、自社は備えられていますか？